責任共有モデル とは？

事業者は提供する基盤やサービスを守るけれど、利用者にも作業が残るよ。たとえば誰がどの情報へアクセスできるか、何を保存するかを管理する。事業者が担う範囲も利用するサービスによるので、具体的な分担を確かめよう。

IaaSの仮想マシンでは、利用者がゲストOSや導入したアプリの更新を行うのが一般的。PaaSでは事業者がOSや実行環境を管理し、利用者は自分のアプリや設定などを管理する。SaaSでもデータ、アカウント、権限や設定の確認は必要だよ。同じ形態の中でも機能ごとに違うんだ。

AWSのS3などでは、利用者がデータの扱い、暗号化の選択やアクセス権限を管理するよ。公開範囲や誰が変更できるかを確認しよう。全ての事故を利用者の設定ミスと決めつけず、どの機能と設定が関わったかを調べる必要があるね。

使うサービスの公式資料で分担を確認し、担当と必要な作業を決めよう。アクセスを必要な人に限る、管理するOSやアプリを更新する、データの保護と利用履歴を確認するなど、担当範囲へ対策を落とし込む。事業者の説明だけで実施したことにはならないよ。

分担を理解することと、対策を実行できていることは別だよ。運用や設定を確認し、変わったときも見直そう。またモデルの説明は、事故の法的責任を一律に決める契約書ではない。契約や個別サービスの条件も合わせて確かめるんだ。